La normativa vigente en materia de protección de datos no solo es aplicable a las pequeñas, medianas y grandes empresas. Las AAPP (Administraciones Públicas), sean del nivel que sean, también están expuestas al control de la AEPD (Agencia Española de Protección de Datos) o de las Autoridades de Control Autonómicas, y de ello queremos hablarte en detalle en este artículo.
Si bien en España no se contemplan las sanciones económicas a la Administración (algo que, en cambio, sí se prevé en otros países de la Unión Europea), sí se aplican apercibimientos sin multas que buscan provocar el cese de la conducta y la corrección de sus efectos.
Además, en caso de que algún ciudadano haya resultado afectado por la infracción cometida por una administración, siempre tiene derecho a reclamar si ha sufrido algún daño, material o inmaterial.
¿Qué infracciones cometen las AAPP?
En general, las administraciones más infractoras son entidades locales, concretamente de más de 20.000 habitantes, que no han nombrado a un DPD (Delegado de Protección de Datos) a pesar de haber recibido ya un requerimiento por parte de la AEPD para hacerlo en un determinado plazo de tiempo. Hay que recordar que la obligación de nombrar un DPD (artículo 37 del RGPD) conlleva disponer de asesoramiento especializado sobre protección de datos. Su incumplimiento implica la comisión de una infracción que se califica como grave.
Además, según informan desde la propia Agencia, las Administraciones Públicas también tienden a incumplir los artículos 5 y 6 del reglamento, que hacen referencia a los principios y a la licitud del tratamiento.
El listado de las Administraciones sancionadas por la AEPD
Con el objetivo de hacer públicas estas infracciones y concienciar acerca de la importancia de cumplir la normativa, la AEPD ha decidido hacer público qué AAPP han sido sancionadas por no cumplir el RGPD. En la lista se incluyen los organismos públicos que no han respondido adecuadamente a algún requerimiento durante los años 2022 y 2023. Te mostramos algunos ejemplos:
- Ayuntamiento de Moncada y Ayuntamiento de Majadahonda: a ambos consistorios la AEPD les remitió hasta dos notificaciones en las que se les recordaba su obligación de contratar a un DPD, sin que se haya recibido ninguna respuesta por su parte.
- Ayuntamiento de Burgos: remitió el DNI y la dirección de email de la persona reclamante sin usar la opción de copia oculta al realizar el envío, lo cual implica una vulneración del principio de limitación de la finalidad y del de confidencialidad e integridad.
- D.G. De La Guardia Civil: se le requirió que adoptara las medidas necesarias con tal de que las actuaciones administrativas no pudieran ser accesibles a personas ajenas a su formalización.
- Departamento de Educación, Cultura y Deporte del Gobierno de Aragón: reveló datos personales de 200 trabajadores a terceros sin el correspondiente consentimiento expreso de sus titulares, mediante el envío de un documento Excel donde constaban sus nombres completos, sus DNI, sus puestos de trabajo y si deseaban o no realizarse el reconocimiento médico.
- Consejería de Sanidad de La Junta de Castilla La Mancha: se le exigió la limitación temporal o definitiva de su sistema de registro horario a través de huella dactilar, ya que no se había realizado la evaluación del impacto del tratamiento ni se habían tenido en cuenta sus riesgos.
- Ayuntamiento de Las Palmas de Gran Canaria: en el acta de la sesión plenaria del 31 de enero de 2019 que se publicó en la web figuraban el nombre completo y el DNI de quien presentó la reclamación ante la AEPD.
Estos son solo algunos ejemplos, puedes consultar la lista completa en esta sección de la web de la AEPD para comprobar hasta qué punto es importante respetar la normativa relativa a la protección de datos personales, tanto si se trata de una empresa privada como de un organismo público.
